Informationen zu File Storage for VPC

IBM Cloud® File Storage for VPC bietet einen auf „ NFS “ basierenden Dateispeicher mit zonaler und regionaler Verfügbarkeit, Verschlüsselung, regionenübergreifender Replikation und Multi-VPC-Freigabe für „ IBM Cloud VPC “-Workloads.

IBM Cloud® File Storage for VPC bietet innerhalb der VPC-Infrastruktur Dateispeicherdienste auf Basis des Network File System ( NFS ) an. Eine Dateifreigabe ist eine Art von Dateispeicher, der über das Netzwerk zugänglich gemacht wird, damit mehrere Clients gleichzeitig auf dieselben Ordner und Dateien zugreifen können.

Das Erstellen von Dateifreigaben mit regionaler Verfügbarkeit erfordert einen speziellen Zugang. Wenn Sie an einer Vorschau auf das neue Angebot interessiert sind, wenden Sie sich an Ihren zuständigen Kundenbetreuer oder Customer Success Manager.

File Storage-Profile

Freigabeprofile definieren die Kapazitäts-, Leistungs- und Datenverfügbarkeitsmerkmale von Dateifreigaben. Sie können die beste Option für Ihre spezifischen Anforderungen wählen, unabhängig davon, ob die Freigabe für den allgemeinen Gebrauch oder für Hochleistungs-Workloads gedacht ist.

Wenn Sie eine Dateifreigabe in Ihrer Verfügbarkeitszone erstellen, verwenden Sie das Profil dp2, um die Gesamtzahl der E/A-Operationen pro Sekunde für die Dateifreigabe basierend auf der Größe der gemeinsam genutzten Ressource anzugeben.

Die Dateifreigabeprofile (Allzweck, 5-iops, 10-iops oder benutzerdefiniert), die in der Betaversion der zonalen Dateifreigabe verwendet wurden, werden voraussichtlich am 06. Mai 2027 das Ende des Supports erreichen. Wenn Sie Dateifreigaben haben, die auf diesen Freigabeprofilen basieren, wechseln Sie sie zum dp2 profil um, um Datenverlust und Dienstunterbrechungen zu vermeiden.

Kunden mit speziellem Zugang zur Vorschau des neuen regionalen Dateifreigabeangebots können das rfs-Profil verwenden, um Dateifreigaben mit regionaler Verfügbarkeit und einstellbaren Bandbreitenwerten zu erstellen.

Die Profile der ersten und zweiten Generation der definierten Leistungsprofilfamilie sind nicht austauschbar. Sie können das Dateifreigabeprofil nicht mehr ändern, nachdem die Dateifreigabe erstellt wurde. Sie können eine zonale Dateifreigabe nicht in eine regionale Freigabe oder eine regionale Freigabe nicht in eine zonale Freigabe konvertieren.

Alle Profile werden durch Solid-State-Laufwerke (SSDs) gestützt. Weitere Informationen finden Sie unter Profile fürFile Storage for VPC.

Übersicht über die zonale Dateifreigabe

Sie können Dateifreigaben mit dem Profil dp2 auf zonaler Ebene erstellen, zum Beispiel in us-south-1. Dateifreigaben werden durch den Namen identifiziert und einer Ressourcengruppe in Ihrem IBM Cloud-Kundenkonto zugeordnet.

Sie erstellen eine Dateifreigabe in einer Zone. Sie können steuern, wie auf die Dateifreigabe zugegriffen wird, indem Sie den Zugriffsmodus der Sicherheitsgruppe angeben. Anschließend erstellen Sie einen Netzwerkendpunkt, der als Einhängeziel für die Freigabe in der VPC bezeichnet wird.

Sie können die Replikation zwischen der Quelldateifreigabe und einer Replikatdateifreigabe in verschiedenen Zonen einrichten. Bei einem Ausfall des primären Standorts können Sie also auf die replizierte Dateifreigabe ausweichen und den Betrieb fortsetzen.

Daten auf einer zonalen Dateifreigabe werden standardmäßig mit IBM-managed encryption verschlüsselt. Für zusätzliche Sicherheit können Sie Ihre eigenen Root-Schlüssel verwenden, um Ihre Dateifreigaben mit vom Kunden verwalteten Schlüsseln zu schützen. Wenn Sie den Zugriffsmodus der Sicherheitsgruppe angeben und dem Mountziel der Dateifreigabe eine virtuelle Netzschnittstelle zuordnen, können Sie die Verschlüsselung von Daten bei der Übertragung aktivieren. Weitere Informationen hierzu finden Sie im Abschnitt Verschlüsselung von Dateifreigaben.

Sie können Ihre zonalen Dateifreigaben in der Konsole, über die Befehlszeilenschnittstelle (CLI), über die API und über Terraform anzeigen und verwalten. Sie können die Größe der Dateifreigabe von ihrer ursprünglichen Kapazität in GB-Schritten auf bis zu 32.000 GB erhöhen. Außerdem können Sie die E/A-Operationen pro Sekunde für Dateifreigabe erhöhen oder verringern, um Ihre Leistungsanforderungen zu erfüllen. Operationen zum Erhöhen der Kapazität oder zum Anpassen der E/A-Operationen pro Sekunde verursachen keinen Ausfall oder fehlenden Zugriff auf den Speicher. Die Abrechnung wird automatisch angepasst. Sie zahlen nur für die Kapazität und Leistung, die Sie benötigen.

Übersicht über regionale Dateifreigaben

Als Kunde mit Sonderzugriff zur Vorschau des regionalen Dateifreigabeprofils können Sie Dateifreigaben mit dem Profil „ rfs “ und regionaler Verfügbarkeit in Dallas, Chennai – Airtel, Frankfurt, London, Madrid, Mumbai – Airtel, Osaka, São Paulo, Sydney, Toronto, Tokio und Washington, D.C. erstellen.

Sie erstellen eine Dateifreigabe innerhalb einer Region. Dateifreigaben werden durch den Namen identifiziert und einer Ressourcengruppe in Ihrem IBM Cloud-Kundenkonto zugeordnet. Sie können den Zugriff auf die Dateifreigabe mit Hilfe von Sicherheitsgruppen steuern. Auf die regionale Datei kann von allen drei Zonen der Region aus zugegriffen werden, wenn sich die Computer-Clients in der richtigen Sicherheitsgruppe befinden. Sie können die Dateifreigabe auf Ihrem Rechenhost über einen regionalen Netzwerkendpunkt einbinden, der als Einbindungsziel für die Freigabe bezeichnet wird. Weitere Informationen finden Sie unter Regionale Montageziele.

Die Daten sind regional verfügbar, die Einrichtung einer Replikation zwischen verschiedenen Zonen ist nicht erforderlich.

Daten auf einer regionalen Dateifreigabe werden im Ruhezustand standardmäßig mit IBM-managed encryption verschlüsselt. Für zusätzliche Sicherheit können Sie Ihre eigenen Root-Schlüssel verwenden, um Ihre Dateifreigaben mit vom Kunden verwalteten Schlüsseln zu schützen. Wenn Sie den Zugriffsmodus der Sicherheitsgruppe angeben und dem Mountziel der Dateifreigabe eine virtuelle Netzschnittstelle zuordnen, können Sie die Verschlüsselung von Daten bei der Übertragung aktivieren. Weitere Informationen hierzu finden Sie im Abschnitt Verschlüsselung von Dateifreigaben.

Sie können Ihre regionalen Dateifreigaben in der Konsole, über die Befehlszeilenschnittstelle (CLI) und über die API anzeigen und verwalten. Sie können die Größe der Dateifreigabe von ihrer ursprünglichen Kapazität in GB-Schritten auf bis zu 32.000 GB erhöhen. Sie können die Bandbreite Ihrer Dateifreigabe auch an Ihre Leistungsanforderungen anpassen. Operationen zur Erhöhung der Kapazität oder zur Anpassung der Bandbreite führen nicht zu Ausfällen oder fehlendem Zugriff auf den Speicher. Die Abrechnung wird automatisch angepasst. Sie zahlen nur für die Kapazität und Leistung, die Sie benötigen.

Zugangsprotokolle

Dateizugriffsprotokolle bieten eine standardisierte Möglichkeit für Clients (virtuelle Serverinstanzen oder Anwendungen), mit dem Dateiserver zu interagieren, was die gemeinsame Nutzung von Dateien und die Zusammenarbeit über das Netzwerk ermöglicht.

NFS-Version

File Storage for VPC erfordert NFS-Versionen v4.1 oder höher. Wenn mehrere Benutzer kooperieren und eine Reihe von Lese-und Schreiboperationen für die Dateifreigabe ausführen, wird die Datenkonsistenz durch native Sperrmechanismen des NFS-Protokolls erreicht. NFS Version 4.1 enthält Unterstützung für das Empfehlungssperren von Bytebereichsdateien. Die Bytebereichssperre wird verwendet, um die Aktivität in einen Bytebereich innerhalb einer Datei zu serialisieren. Als beratender Sperrmechanismus verhindert er nicht den Zugriff auf eine Anwendung, sondern stellt einen Mechanismus bereit, mit dem Anwendungen kooperativ kommunizieren können, indem sie Sperren anfordern und abfragen, ob eine Sperre gehalten wird. Weitere Informationen finden Sie unter RFC8881.

Mountziele für Dateifreigaben

Durch das Mounten macht das Betriebssystem eines Servers Dateien und Verzeichnisse auf einem Speichergerät für den Zugriff der Benutzer über das Dateisystem des Servers verfügbar. Um eine Dateifreigabe auf einer virtuellen Serverinstanz, einer Bare-Metal-Serverinstanz oder in einem Kubernetes-Cluster zu verwenden, benötigen Sie den Einhängepfad NFS. Um einen Einhängepfad für NFS zu erstellen, müssen Sie ein Einhängeziel anlegen.

Ein Einhängeziel für eine Dateifreigabe ist ein Netzwerkendpunkt. Wenn Sie ein Mountziel erstellen, wird ein NFS-Mountpfad für die Dateifreigabe erstellt. Über den Einhängepfad können Sie die Dateifreigabe an Serverinstanzen oder Kubernetes-Cluster in derselben Region anhängen. Je nach der von Ihnen gewählten Sicherheitsgruppe können Sie den Zugriff auf eine Freigabe auf eine bestimmte Instanz beschränken oder mehreren virtuellen Serverinstanzen bzw. Bare-Metal-Servern das Einbinden der Freigabe gestatten.

Wenn Sie eine Dateifreigabe mit Instanzen verbinden möchten, die in verschiedenen VPCs in einer Zone ausgeführt werden, können Sie mehrere Mountziele erstellen, ein Mountziel für jede VPC.

Nachdem das Einhängeziel erstellt wurde, können Sie aus der Ferne auf Ihren virtuellen Server oder Ihre Bare-Metal-Server-Instanz zugreifen und die Dateifreigabe anhängen.

Zugriffsmodus für Mountziel

Wenn Sie ein Mountziel erstellen oder aktualisieren, können Sie angeben, wie auf das Mountziel in der Dateifreigabe zugegriffen werden soll. Ab dem 06. Juni 2026 ist die einzige Option für den Zugriffskontrollmodus der Zugriffsmodus für Sicherheitsgruppen. Mit Hilfe der Sicherheitsgruppe können Sie den Zugriff auf die Dateifreigabe für eine bestimmte Serverinstanz oder eine Reihe von Instanzen innerhalb eines Subnetzes autorisieren. Die Kommunikation zwischen einer autorisierten virtuellen Serverinstanz und der Dateifreigabe kann ebenfalls verschlüsselt werden. Weitere Informationen finden Sie unter Verschlüsselung bei der Übermittlung.

Der Zugangsmodus vpc erreicht das Ende des Supports am 06. Mai 2027. Folgen Sie der Migrationsanleitung, um den Zugriffskontrollmodus Ihrer Freigabe auf security-group zu aktualisieren, um Dienstunterbrechungen und Datenverlust zu vermeiden.

Zonenübergreifende Mountziele

Wenn Sie ein Einhängeziel für eine zonale Freigabe mit Sicherheitszugriffsgruppenmodus erstellen, können Sie eine VNI mit einer bestimmten reservierten IP in der Zone Ihrer Dateifreigabe anhängen. Durch die Verwendung eines Einhängeziels mit einer reservierten IP können Sie eine Dateifreigabe aus Zone 1 auf einem Computer-Host in Zone 2 einhängen. Wenn sich der Server und die Dateifreigabe in verschiedenen Zonen befinden, kann die Leistung beeinträchtigt werden, wenn der Datenverkehr zwischen den Zonen hin- und hergeht.

Auf Zonen-Dateifreigaben können mehrere Rechenhosts innerhalb der Region zugreifen.
Zonenbasierte Dateifreigaben

Die zonenübergreifende Einbindung wird für Dateifreigaben mit dem veralteten VPC-weiten Zugriffsmodus nicht unterstützt.

Zonenübergreifendes Mounten ist für regionale Dateifreigaben nicht möglich. Weitere Informationen finden Sie im folgenden Abschnitt.

Regionale Bergbauziele

Wenn Sie ein Einhängeziel für eine regionale Dateifreigabe erstellen, müssen Sie eine VNI anhängen. Obwohl jede VNI mit einer bestimmten Zone verbunden ist, ist sie nicht auf diese Zone beschränkt. Subnetze und VNI enthalten in ihren Cloud Resource Names (CRNs) zonale Standortcodes, sind aber für den regionalen Betrieb ausgelegt. Sie sind von jeder Verfügbarkeitszone innerhalb der Region zugänglich, auch wenn die eigene Region vorübergehend nicht verfügbar ist.

Die Speicherplattform verwendet einen gemeinsamen IP-Bereich für mehrere Zonen, so dass Ihr Client unabhängig von der Zone, in der er sich befindet, denselben logischen Speicherdienst erreichen kann. Das Routing wechselt dynamisch zur nächstgelegenen oder leistungsstärksten Instanz Ihres regionalen Anteils.

Auf regionale Dateifreigaben können mehrere Rechenhosts innerhalb der Region zugreifen.
Regionale Dateifreigaben

Daten schützen

Es stehen sicherheitsspezifische Tools und Funktionen zur Verfügung, die Ihnen helfen, Ihre Daten bei der Nutzung von IBM Cloud® Virtual Private Cloud sicher zu verwalten. Die folgenden Themen behandeln Zugriffskontrolle, Datenverschlüsselung, Konfigurationsmanagement sowie Überwachungs- und Protokollierungsoptionen, die für Ihre Dateifreigaben verfügbar sind.

IAM-Rollen zur Verwaltung verschiedener Aktivitäten im Zusammenhang mit der Dateispeicherung

File Storage for VPC Erfordert IAM-Berechtigungen für die rollenbasierte Zugriffskontrolle. Je nach Ihrer zugewiesenen Rolle können Sie Dateifreigaben und Snapshots erstellen und verwalten, Verschlüsselungen einrichten sowie die Dienstkonfiguration einsehen.

  • Die Rolle „Key Manager“ ermöglicht es einem Dienst, Ressourcenschlüssel zur Verwaltung des Zugriffs auf Ressourceninstanzen zu erstellen, zu aktualisieren, abzurufen und zu löschen.
  • Die Rolle „Service Configuration Reader“ gewährt Lesezugriff auf die Dienstkonfiguration und die zugehörigen Governance-Metadaten über alle Ressourcen hinweg.
  • Die Rolle „Share Broker“ ermöglicht das Anlegen und Löschen von Verknüpfungen zwischen echten und Schatten-Shares, um die Beziehungen zwischen den Shares zu verwalten.
  • Die Rolle „Share Remote Account Accessor“ ermöglicht das Erstellen kontoübergreifender Zugriffsverknüpfungen für Freigaben, die einem anderen Konto gehören.
  • Die Rolle „Share Snapshot Operator“ ermöglicht die vollständige Verwaltung (Erstellen, Lesen, Auflisten, Aktualisieren, Löschen) von Share-Snapshots

Weitere Informationen finden Sie unter „ IAM-Rollen und -Aktionen für File Storage for VPC “.

Weitere Informationen finden Sie unter Bewährte Verfahren für die Zuweisung von Zugriff. Informationen zum vollständigen IAM-Prozess, der die Einladung der Benutzer zu Ihrem Konto und die Zuweisung des Cloud IAM-Zugriffs umfasst, finden Sie im IAM-Lernprogramm mit der Einführung.

IAM-Dienst-zu-Dienst-Berechtigungen

Mit dem Cloud Identity and Access Management (IAM) können Sie eine Autorisierung erstellen oder entfernen, die einem Dienst Zugriff auf einen anderen Dienst gewährt. Für File Storage for VPC müssen Sie eine Dienst-zu-Dienst-Autorisierung erstellen, um die vom Kunden verwaltete Verschlüsselung, die regionsübergreifende Replikation, den kontoübergreifenden Zugriff und Backups zu konfigurieren. Weitere Informationen finden Sie unter Einrichten von Dienst-zu-Dienst-Berechtigungen.

Kontextbasierte Einschränkungen

Sie können kontextbasierte Einschränkungen (CBR) für alle Dateifreigabeoperationen aktivieren. Diese Einschränkungen können mit herkömmlichen, auf der Identität basierenden IAM-Richtlinien kombiniert werden und so eine zusätzliche Schutzebene bieten. Im Gegensatz zu IAM-Richtlinien weisen kontextbasierte Einschränkungen keine Zugriffsberechtigung zu. Kontextbasierte Einschränkungen überprüfen, ob eine Zugriffsanforderung aus einem zulässigen Kontext stammt, den Sie konfigurieren, wie z. B. das Erstellen einer Dateifreigabe. Weitere Informationen finden Sie unter Virtual Private Cloud(VPC)Infrastructure Services mit kontextbasierten Einschränkungen schützen.

Verschlüsselung ruhender Daten

Standardmäßig werden Dateifreigaben im Ruhezustand mithilfe der von IBM verwalteten Verschlüsselung verschlüsselt.

Sie können Ihren eigenen CRK (Customer Root Key, Stammschlüssel des Kunden) zur kundenverwalteten Verschlüsselung in die Cloud bringen oder Sie können einen Key Management Service (KMS) für Sie generieren lassen. Sie können den Rootschlüssel auswählen, wenn Sie eine verschlüsselte Dateifreigabe erstellen. Weitere Informationen hierzu finden Sie im Abschnitt zur vom Kunden verwalteten Verschlüsselung.

Nachdem Sie einen Verschlüsselungstyp für eine Dateifreigabe angegeben haben, können Sie ihn nicht ändern.

Veraltet Die Hyper Protect Crypto Services sind veraltet. Kunden können bestehende Instanzen bis zum 20. März 2027 nutzen. Um den Schutz aufrechtzuerhalten, sollten Sie in Erwägung ziehen, Ihre vorhandenen Verschlüsselungsschlüssel auf eine Dedicated Key Protect-Instanz zu migrieren. Weitere Informationen finden Sie in der Migrationsanleitung.

Verschlüsselung bei der Übertragung

Sie können eine verschlüsselte Mount-Verbindung zwischen der autorisierten virtuellen Serverinstanz und dem Speichersystem herstellen. Bei Dateifreigaben, die auf dem Profil dp2 oder rfs basieren, können Einhängeziele, die mit einer virtuellen Netzwerkschnittstelle erstellt werden, die Verschlüsselung während der Übertragung unterstützen.

Wenn Sie eine Dateifreigabe mit Instanzen verbinden möchten, die in verschiedenen VPCs innerhalb einer Zone ausgeführt werden, können Sie mehrere Einhängeziele erstellen. Sie können für jede VPC ein Mount-Ziel erstellen.

Wenn Sie sich für die Verschlüsselung während der Übertragung (EIT) entscheiden, müssen Sie Ihre Anforderungen hinsichtlich Leistung und erhöhter Sicherheit gegeneinander abwägen. Das Verschlüsseln von Daten während der Übertragung kann aufgrund der Verarbeitung, die zum Verschlüsseln und Entschlüsseln der Daten auf den Endpunkten erforderlich ist, zu Leistungseinbußen führen. Die Auswirkung hängt von den Workloadmerkmalen ab. Workloads, die synchrone Schreibvorgänge ausführen oder das VSI-Caching umgehen, wie z. B. Datenbanken, können erhebliche Auswirkungen auf die Leistung haben, wenn das EIT aktiviert ist. Um die Auswirkungen von EIT auf die Leistung zu ermitteln, führen Sie einen Vergleichstest Ihrer Arbeitslast mit und ohne EIT durch.

Auch ohne EIT laufen die Daten durch ein sicheres Rechenzentrumsnetz. Weitere Informationen zur Netzsicherheit finden Sie unter Sicherheit in Ihrer VPC und VPC-Infrastrukturservices(Virtual Private Cloud)mit kontextbasierten Einschränkungen schützen.

File Storage for VPC gilt nur dann als validierter Finanzdienst, wenn die Verschlüsselung während der Übertragung aktiviert ist. Weitere Informationen finden Sie unter Was ist ein von Financial Services validierter Dienst?

IBM Cloud® bietet die folgenden Transitverschlüsselungstypen für Dateifreigaben.

  • IPsec - Sie können eine verschlüsselte Mount-Verbindung zwischen dem Compute-Host und einer zonalen Dateifreigabe herstellen, indem Sie das Sicherheitsprofil Internet Security Protocol (IPsec) und ein Instanzidentitätszertifikat verwenden. Weitere Informationen finden Sie unter Verschlüsselung bei der Übertragung - IPsec-Verschlüsselung.
  • Stunnel - Sie können eine verschlüsselte Mount-Verbindung zwischen dem Compute-Host und einer regionalen Dateifreigabe herstellen, indem Sie eine TLS 1.2 + Verbindung zwischen dem Client-VSI und NFS Server mit Stunnel erstellen. Weitere Informationen finden Sie unter Verschlüsselung bei der Übertragung - TLS encryption.

Informationen zu einem bekannten Problem mit IPsec-konfigurierten Einbindungen finden Sie unter „ Mögliche Unterbrechung der Einbindung von IPsec-konfigurierten Zonen-Dateifreigaben während Wartungsarbeiten “.

Differenzierte Autorisierung

Ihre Dateifreigabe wird mit dem Zugriffskontrollmodus zur Verwendung von Sicherheitsgruppen erstellt. Um diese Freigabe einzubinden, müssen Sie zunächst ein Einhängeziel mit einer virtuellen Netzwerkschnittstelle erstellen. Wenn Sie Ihre Dateifreigabe mit diesem Einhängeziel einhängen, bietet das erstellte Dateifreigabe-Gateway eine granulare 1:1:1-Autorisierung.

Die Sicherheitsgruppen, die dem Mountziel zugeordnet sind, fungieren als virtuelle Firewall, die den Datenverkehr zwischen dem Mountziel und dem Rechenhost steuert.

Sie können eine bestimmte Sicherheitsgruppe wählen oder die Standardsicherheitsgruppe der VPC verwenden. Durch Ändern der Regeln der Sicherheitsgruppen in Ihrer VPC können Sie den Zugriff auf die Dateifreigabe von einer oder mehreren bestimmten virtuellen Serverinstanzen oder Bare-Metal-Servern einschränken.

Um den Datenverkehr zwischen einer virtuellen Serverinstanz und einem Mountziel zu aktivieren, müssen Sie die folgenden Regeln in den Sicherheitsgruppen konfigurieren:

  • Für das Einhängeziel: Die Sicherheitsgruppe muss den eingehenden Zugriff für das Protokoll TCP auf dem Anschluss NFS von allen Servern erlauben, auf denen Sie die Dateifreigabe einhängen möchten.
  • Für die virtuellen Server: Die Sicherheitsgruppe muss den ausgehenden Zugriff auf das Einhängeziel über den Port NFS erlauben.

Sie können Ihre Sicherheitsgruppe dynamischer konfigurieren, indem Sie den gesamten Datenverkehr zwischen Mitgliedern der Sicherheitsgruppe zulassen. Ordnen Sie diese Sicherheitsgruppe anschließend der Netzschnittstelle der virtuellen Serverinstanz und der virtuellen Netzschnittstelle des Mountziels zu. Weitere Informationen finden Sie unter Datenverkehr zwischen Mitgliedern einer Sicherheitsgruppe zulassen.

Es wird auch empfohlen, die UDP Ports 500 und 4500 zuzulassen. UDP port 500 ist für Internet Key Exchange (IKE) zur Verwaltung von Verschlüsselungsschlüsseln vorgesehen, und UDP Port 4500 ist für IPsec NAT-Traversal (NAT-T). Ein VPN-Gateway für VPC akzeptiert nur VPN-Pakete mit UDP Encapsulation of IPsec ESP Packets. Wenn Sie sich für die Verwendung von stunnel zur Verschlüsselung von Daten bei der Übertragung entscheiden, stellen Sie sicher, dass Port 20049 zugelassen ist.

Wenn Sie das Einhängeziel erstellen, können Sie ein Subnetz und eine reservierte IP-Adresse für die virtuelle Netzwerkschnittstelle angeben. Sie können den Dienst auch veranlassen, eine IP-Adresse im angegebenen Subnetz für Sie auszuwählen. Das Mountziel muss eine private VPC-IP-Adresse haben und die IP-Adresse muss sich in einem Teilnetz befinden, das sich in derselben Zone wie die gemeinsam genutzte Ressource befindet. Die IP-Adresse, die dem Mountziel zugeordnet ist, kann später nicht geändert werden.

Wenn Sie das Mountziel mit einer virtuellen Netzschnittstelle erstellen, wird seine IP-Adresse auf eine der folgenden Arten bestimmt:

  • Nach Teilnetz-Sie geben das Teilnetz an und ermöglichen dem System die Auswahl einer IP-Adresse aus den reservierten IP-Adressen innerhalb dieses Teilnetzes. Es wird eine Netzschnittstelle mit der ausgewählten IP-Adresse erstellt, die dann dem Mountziel der Dateifreigabe zugeordnet wird.

  • Nach Teilnetz und IP-Adresse-Sie geben die IP-Adresse im Teilnetz an. Anschließend wird die Netzschnittstelle erstellt und dem Mountziel zugeordnet.

Wenn das Einhängeziel angehängt und die Freigabe eingehängt ist, führt der VNI eine Überprüfung der Sicherheitsgruppenrichtlinie durch, um sicherzustellen, dass nur autorisierte virtuelle Serverinstanzen mit der Freigabe kommunizieren können.

eines Einhängeziels einer Dateifreigabe, das mit einer virtuellen Netzwerkschnittstelle verbunden

Ergänzende IDs und Gruppen

Wenn ein Prozess auf Unix und Linux ausgeführt wird, identifiziert das Betriebssystem einen Benutzer anhand einer Benutzer-ID (UID) und eine Gruppe anhand einer Gruppen-ID (GID). Diese IDs bestimmen, auf welche Systemressourcen ein Benutzer oder eine Gruppe zugreifen kann. Wenn beispielsweise die Benutzer-ID für den Dateispeicher 12345 und die Gruppen-ID 6789 lautet, müssen die Mount-Einträge auf dem Host-Knoten und im Container dieselben IDs aufweisen. Der Hauptprozess des Containers muss mit einer oder beiden dieser IDs übereinstimmen, um auf die Dateifreigabe zugreifen zu können.

Mit der API und der CLI können Sie diese Attribute zur Steuerung des Zugriffs auf Ihre Dateifreigaben festlegen, wenn Sie eine Dateifreigabe erstellen. Die API und die Befehlszeilenschnittstelle bieten die Eigenschaft initial owner, mit der Sie die Werte UID und GID festlegen können. Überall dort, wo Sie die Dateifreigabe anhängen, verwendet der Stammordner, in dem Sie sie anhängen, diese UID oder GID-Eigner. Weitere Informationen finden Sie unter Zusätzliche IDs hinzufügen, wenn Sie eine Dateifreigabe erstellen.

Gemeinsame Nutzung von Dateifreigabedaten zwischen Accounts und Services

Kunden, die mehrere Konten verwalten, stellen manchmal fest, dass einige ihrer Konten auf dieselben Daten zugreifen und damit arbeiten müssen. Administratoren mit den richtigen Berechtigungen können ein NFS-Dateisystem kontenübergreifend gemeinsam nutzen, sodass die Daten, von denen ihre Anwendungen abhängen, auf den verschiedenen Systemen innerhalb des Unternehmens verfügbar sind. Kunden können ihre File Storage for VPC Shares auch mit dem IBM watsonx Service teilen.

Die kontenübergreifende Service-zu-Service-Autorisierung wird verwendet, um eine Vertrauensbeziehung zwischen den Konten des Eigentümers und des Zugriffsberechtigten herzustellen. Nachdem die Autorisierung eingerichtet wurde, kann das Konto, das die Freigabe besitzt, die IDs der Konten sehen, die die gemeinsame Dateifreigabe aktivieren können. Das Accessor-Konto kann die freigegebenen NFS-Freigaben in seiner Ressourcenliste zusammen mit den Eigentümerinformationen der Freigabe sehen. Das Konto des Zugriffsberechtigten kann die Eigenschaften der ursprünglichen Freigabe nicht bearbeiten. Sie können die Ursprungsfreigabe nicht löschen, aber sie können sie in ihren eigenen VPCs anhängen. Accessor-Konten können alle Daten der Freigabe nutzen, einschließlich der eventuell vorhandenen Snapshots.

Weitere Informationen finden Sie unter Freigeben und Einhängen einer Dateifreigabe von einem anderen Konto.

Zulässige Modi der Verschlüsselung bei der Übertragung

Der Eigentümer der Freigabe kann die Einstellungen für die Transitverschlüsselung der Daten einer Dateifreigabe durchsetzen. Sie können wählen, ob sie eine Verschlüsselung zulassen, keine Verschlüsselung zulassen oder die Entscheidung über den Verschlüsselungsmodus während der Übertragung dem Zugriffskonto überlassen möchten. Alle Einhängeziele, die für eine einzelne Dateifreigabe erstellt werden, müssen aus Konsistenzgründen denselben Transitverschlüsselungsmodus verwenden.

Bei zonalen Dateifreigaben kann der Eigentümer der Freigabe zwischen den folgenden Transitverschlüsselungsmodi wählen: ipsec, none, oder beide.

  • Wenn ipsec erzwungen wird, müssen alle Accessor-Mount-Ziele IPsec verwenden.
  • Wenn none erzwungen wird, ist eine Verschlüsselung während der Übertragung nicht zulässig.
  • Wenn beides erlaubt ist, können die Zugangskonten wählen, welches von beiden verwendet werden soll.

Verfügbarkeit auswählen Bei regionalen Dateifreigaben kann der Freigabeeigentümer zwischen den folgenden Transitverschlüsselungsmodi wählen: stunnel, none, oder beide.

  • Wenn stunnel erzwungen wird, müssen alle Accessor-Mount-Ziele stunnel verwenden.
  • Wenn none erzwungen wird, ist eine Verschlüsselung während der Übertragung nicht zulässig.
  • Wenn beides erlaubt ist, können die Zugangskonten wählen, welches von beiden verwendet werden soll.

Alle Einhängeziele, die für eine einzelne Dateifreigabe erstellt werden, müssen aus Konsistenzgründen denselben Transitverschlüsselungsmodus verwenden.

Weitere Informationen zum Teilen und Anhängen einer Dateifreigabe über ein anderes IBM Cloud®-Konto oder eine VPC finden Sie unter Dateifreigabe über ein anderes Konto teilen und anhängen.

Die gemeinsame Nutzung einer Dateifreigabe mit anderen Konten oder Diensten wird für zonale Dateifreigaben mit veraltetem VPC-weiten Zugriffsmodus nicht unterstützt.

Activity Tracker-Ereignisse

Sie könnenIBM Cloud® Activity Tracker Event Routing um zu konfigurieren, wie Überwachungsereignisse weitergeleitet werden. Audit-Ereignisse sind wichtige Daten für den Sicherheitsbetrieb und ein wesentlicher Bestandteil zur Erfüllung von Compliance-Anforderungen. Solche Ereignisse werden ausgelöst, wenn Sie eine Dateifreigabe erstellen, ändern oder löschen. Ereignisse zur Aktivitätsverfolgung werden auch ausgelöst, wenn Sie die Replikation von Dateifreigaben einrichten und nutzen. Weitere Informationen finden Sie unter Aktivitätsverfolgungsereignisse für IBM Cloud VPC.

Protokollierung für den Dateifreigabedienst

Nachdem Sie IBM Cloud Logs bereitgestellt haben, um Ihrer IBM Cloud®-Architektur Protokollverwaltungsfunktionen hinzuzufügen, können Sie Plattformprotokolle aktivieren, um Protokolle des File Storage for VPC-Dienstes anzuzeigen und zu analysieren. Weitere Informationen finden Sie unter Protokollierung für VPC.

Tags für Dateifreigaben

File Storage for VPC ist für die globale Suche und das globale Tagging aktiviert (GhoST). Sie können Benutzertags und Zugriffsmanagementtags auf Dateifreigaben erstellen und anwenden, um Ihre Dateispeicherressourcen in der VPC besser zu steuern und zu organisieren. Benutzer-Tags können in der Konsole, über die CLI oder über die API hinzugefügt werden. Um Zugriffsmanagementtags auf Dateifreigaben anzuwenden, müssen Sie die GhoST-API verwenden.

Benutzertags

Sie können neue Benutzer-Tags erstellen oder vorhandene Tags hinzufügen, wenn Sie eine neue Dateifreigabe einrichten oder eine vorhandene Dateifreigabe aktualisieren. Sie können Tags über die Benutzeroberfläche, die Befehlszeilenschnittstelle (CLI) oder die API erstellen, anzeigen und verwalten sowie jederzeit entfernen.

Benutzer-Tags werden durch einen Cloud Resource Name (CRN)-Bezeichner eindeutig identifiziert. Wenn Sie ein Benutzer-Tag erstellen, vergeben Sie einen eindeutigen Namen innerhalb Ihres Abrechnungskontos. Sie können Benutzer-Tags im Label- oder Schlüssel-Wert-Format definieren. Tags werden vom Dateiservice durch Hintergrundverarbeitung direkt zum GhoST-Service gesendet oder von dort empfangen. GhoST speichert die zugehörigen Schlüsselattribute und das Array der Tags. GhoST speichert außerdem Informationen zu Benutzerressourcen, sodass Sie die Ressourcen, die Ihnen gehören, anzeigen, mit Tags versehen und danach suchen können.

Benutzermarkierungen können auch von Sicherungsrichtlinien verwendet werden, um automatisch Momentaufnahmen der Freigabe zu erstellen.

Weitere Informationen finden Sie unter Benutzertags zu Dateifreigaben hinzufügen und Mit Tags arbeiten.

Zugriffsverwaltungstags

Mithilfe von Zugriffsmanagementtags können Sie die Zugriffssteuerung organisieren, indem Sie flexible Ressourcengruppierungen erstellen, sodass Ihre Dateispeicherressourcen wachsen können, ohne dass Aktualisierungen an IAM-Richtlinien erforderlich sind.

Sie können Zugriffsmanagementtags erstellen und diese dann auf neue oder vorhandene Dateifreigaben und Replikatdateifreigaben anwenden. Verwenden Sie die IAM-Benutzerschnittstelle oder die API für globale Suche und Tagging, um den Zugriffsmanagementtag zu erstellen. Fügen Sie anschließend über die VPC-Benutzerschnittstelle oder -API die Tags zu einer Dateifreigabe hinzu. Nachdem die Tags hinzugefügt wurden, können Sie den Zugriff auf sie mithilfe der IAM-Richtlinien verwalten. Weitere Informationen finden Sie unter Add access management tags to a file share.

Replikation und Ausfallsicherung

Für Ihre zonalen Dateifreigaben können Sie schreibgeschützte Replikate in einer anderen Zone innerhalb Ihrer VPC oder in einer anderen Region erstellen, sofern Ihr Konto über mehrere VPCs in derselben geografischen Region verfügt. Das Replikat wird regelmäßig auf der Basis des von Ihnen angegebenen Replikationszeitplans aktualisiert. Sie können die Replikation Ihrer Daten so oft wie möglich, nämlich alle 15 Minuten, planen.

In dieser Version wird die regionsübergreifende Replikation für regionale Dateifreigaben mit dem Profil rfs noch nicht unterstützt.

Für die regionenübergreifende Replikation müssen Sie die Berechtigungen zwischen den Diensten konfigurieren, bevor die Replik-Dateifreigabe erstellt werden kann.

Die Replikation bietet eine gute Möglichkeit zum Beheben von Vorfällen am primären Standort, durch die Daten unzugänglich werden oder Anwendungen fehlschlagen. Durch das Failover auf die Replikatfreigabe wird diese zur neuen, beschreibbaren Primärfreigabe. Weitere Informationen finden Sie unter Informationen zur Replikation von Dateifreigaben.

Die Dateifreigabereplikation kann über die Notfallwiederherstellung hinaus erhebliche betriebliche und leistungsbezogene Vorteile bieten. Ein wichtiger Anwendungsfall ist der Zugriff mit geringer Latenz für verteilte Teams und Anwendungen. Durch die Platzierung schreibgeschützter Replikate näher an den Benutzern in einer anderen Region können Sie die Dateizugriffszeiten verkürzen und die Produktivität für Workloads wie Designdateien, Medienressourcen oder Code-Repositorys verbessern. Ebenso wird die Verteilung von Inhalten einfacher, wenn Sie Replikate in regionalen Hubs erstellen, da dies schnellere Downloads für Installationsprogramme, Dokumentationen oder Schulungsmaterialien gewährleistet, ohne eine einzelne Quelle zu überlasten.

Replikate ermöglichen Compliance- und Rechtsabläufe, schrittweise Migrationen und operative Isolierung für Wartungszwecke, sodass Sie Änderungen testen oder Audits durchführen können, ohne die Produktion zu beeinträchtigen. Replikate können bei der Bewältigung von Kapazitätsengpässen während Spitzenzeiten, der Optimierung der Entwicklererfahrung und sogar beim Datenresidenz-Routing für regulatorische Anforderungen helfen.

Dateifreigabe-Snapshots

Snapshots sind zeitpunktbezogene Kopien Ihrer Dateifreigabe. Die Snapshots können dazu verwendet werden, einzelne Dateien wiederherzustellen oder andere Dateifreigaben in derselben Zone mit den Daten zu erstellen, die im Snapshot erfasst wurden. Sie können Snapshots manuell in der Konsole oder über die Befehlszeilenschnittstelle (CLI) und programmatisch über die API erstellen. Sie können die Snapshots auch so planen, dass sie in regelmäßigen Abständen automatisch erstellt werden, indem Sie den Dienst Backup für VPC verwenden. Weitere Informationen finden Sie unter Über File Storage for VPC Snapshots und Planung von Snapshots.

Schnappschüsse werden nur für Freigaben unterstützt, die als Zugriffskontrollmodus "Sicherheitsgruppe" haben.

Sie können keine Snapshots von Replikat- oder Accessor-Freigaben erstellen. Allerdings stehen den Zugriffs-Shares auch Momentaufnahmen des Ursprungs-Shares zur Verfügung. Snapshots einer Share mit zonalen Ursprung werden bei der nächsten geplanten Synchronisierung auf die schreibgeschützte Replik-Share repliziert.

Dateifreigabe Datenlöschung

Wenn Sie eine Dateifreigabe löschen, werden diese Daten sofort unzugänglich. Alle Verweise auf die Daten auf der physischen Platte werden entfernt. Wenn Sie später eine Dateifreigabe im selben oder einem anderen Konto erstellen, wird ein neuer Satz von Verweisen zugewiesen. Das Konto hat keinen Zugriff auf Daten, die sich zuvor auf dem physischen Speicher befunden haben, da die entsprechenden Verweise gelöscht wurden. Sobald neue Daten auf die Platte geschrieben werden, werden alle nicht zugänglichen Daten aus dem gelöschten Dateispeicher überschrieben.

IBM garantiert, dass auf gelöschte Daten kein Zugriff möglich ist und dass gelöschte Daten letztendlich überschrieben und vernichtet werden. Wenn Sie eine Dateifreigabe löschen, müssen diese Blöcke überschrieben werden, bevor dieser Dateispeicher entweder für Sie oder für einen anderen Kunden erneut zur Verfügung gestellt wird.

Wenn IBM ein physisches Laufwerk außer Betrieb nimmt, wird das Laufwerk vor der Entsorgung zerstört. Ausgemusterte physische Laufwerke sind unbrauchbar, und auf den darauf gespeicherten Daten kann nicht mehr zugegriffen werden.

Überwachung aktienbezogener Metriken in der Konsole

IBM Cloud® Monitoring ist ein Cloud-natives und Container-Intelligenz-Management-System eines Drittanbieters, das Sie als Teil Ihrer IBM Cloud Architektur einbinden können. IBM Cloud Monitoring wird von Sysdig in Partnerschaft mit IBM betrieben. Sie können in der Konsole IBM Cloud auf Dateifreigabe-Dashboards zugreifen und Metriken wie die aktuelle Lese- und Schreibbandbreite sowie die maximale Bandbreite anzeigen. Weitere Informationen finden Sie unter Überwachung von Metriken für File Storage for VPC.

Einschränkungen in diesem Release

Für diese Version von File Storage for VPC gelten die folgenden Einschränkungen.

  • Frühere Profile werden bei der Bereitstellung einer Dateifreigabe nicht unterstützt. Neue Dateifreigaben müssen das Profil dp2 oder das Profil rfs verwenden. Dateifreigaben früherer Versionen können ihre Profile jedoch bis zum 06. Mai 2027 weiter verwenden. Aktualisieren Sie das Dateifreigabeprofil bis zu diesem Datum auf dp2, um Dienstunterbrechungen und Datenverlust zu vermeiden.
  • Die Beschränkung des Zugriffs auf Dateifreigaben auf bestimmte virtuelle Serverinstanzen und die Verschlüsselung von Daten während der Übertragung ist nur für Freigaben verfügbar, die auf dem Profil dp2 oder rfs basieren.
  • Windows-Betriebssysteme werden nicht unterstützt.
  • Die Mindestkapazität für eine zonale Dateifreigabe beträgt 10 GB. Die Mindestkapazität für eine regionale Dateifreigabe beträgt 1 GB.
  • Die maximale Kapazität beträgt 32.000 GB pro Dateifreigabe.
  • Für regionale Dateifreigaben (Profil rfs ) beträgt die maximale Dateigröße 1 TB. Zonale Dateifreigaben (Profil dp2 ) haben keine Begrenzung der Dateigröße.
  • Für gelöschte Dateifreigaben ist keine Datenaufbewahrungsrichtlinie vorhanden. Sie können die Löschung einer Dateifreigabe nach dem Löschen nicht mehr rückgängig machen.
  • Bis zu 256 Hosts pro Zone pro VPC können gleichzeitig mit einer einzelnen Dateifreigabe verbunden werden.
  • Sie können bis zu 300 Dateifreigaben in Ihrer VPC erstellen.
  • Wenn Sie Ihre zonale Dateifreigabe für ein anderes Konto oder einen externen Dienst freigeben, können bis zu 100 Accessor-Share-Bindungen erstellt werden.
  • Eine Dateifreigabe kann nicht mithilfe einer API-Anforderung DELETE /shares/<id> gelöscht werden, wenn dieser Dateifreigabe ein vorhandenes Mountziel zugeordnet ist oder Replikatoperationen in Bearbeitung sind.
  • Nur Bare Metal Servers for VPC, die nach dem 31. August 2023 bereitgestellt werden, unterstützen File Storage for VPC.
  • Eine Dateifreigabe kann nicht mithilfe einer DELETE /shares/<id>/source-API-Anforderung von ihrem Replikat getrennt werden, wenn die lifecycle_state der Dateifreigabe updating ist oder wenn Replikatoperationen in Bearbeitung sind.
  • Bei zonalen Dateifreigaben wird die regionenübergreifende Replikation nur unterstützt, wenn sowohl die Quell- als auch die Replikat-Freigabe zum selben Konto gehören. Die regionsübergreifende Replikation wird nicht unterstützt.
  • Die regionsübergreifende Replikation wird für regionale Dateifreigaben in der Phase Verfügbarkeit auswählen nicht unterstützt.
  • Regionale Dateifreigaben sind in Montreal derzeit nicht verfügbar.

Nächste Schritte